Тема Divi WordPress до версии 5.9.0 не может должным образом экранировать некоторые настройки модуля «Следить за социальными сетями» перед выводом их в атрибутах ссылок, что позволяет пользователям с такой низкой ролью, как участник, хранить JavaScript, который будет запускаться, когда пользователь с более высокими привилегиями, например администратор, просматривает сообщение.
Показать оригинальное описание (EN)
The Divi WordPress theme before 5.9.0 does not properly escape some of its Social Media Follow module settings before outputting them in link attributes, allowing users with a role as low as contributor to store JavaScript which will run when a higher privileged user, such as an administrator, views the post.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Требуется
Нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
unknown:divi